Le mode souverain est un réglage, pas un badge de certification

Altovar tient à clarifier une distinction qui ne cesse de s'estomper dans les débats sur la souveraineté : le mode souverain, un paramètre disponible dans Auris, est une posture produit, pas une certification. L'activer modifie ce que le produit fait par défaut. Cela ne signifie pas que le déploiement a obtenu la certification ACN de l'Italie, le BSI C5 de l'Allemagne, le SecNumCloud de la France, ni une quelconque immunité face au CLOUD Act américain.

Ce que le réglage modifie concrètement

Selon la documentation produit d'Altovar, le mode souverain désactive par défaut certains fournisseurs d'identité sociaux basés aux États-Unis et l'envoi de SMS via un fournisseur américain, ainsi qu'un petit ensemble de réglages de posture associés. La liste exacte de ce qui est concerné pour un déploiement donné figure dans la référence de configuration du produit, pas dans les supports marketing — car ce réglage est un paramètre, son périmètre doit être vérifié par rapport à la documentation en vigueur plutôt que présumé à partir d'une description en une ligne.

Pourquoi un réglage n'est pas une certification

ACN, BSI C5 et SecNumCloud sont des dispositifs formels pilotés par des autorités nationales, chacun exigeant un audit indépendant par rapport à un ensemble de contrôles publié. L'Agenzia per la Cybersicurezza Nazionale italienne certifie les services cloud vendus au secteur public. Le BSI allemand gère le Cloud Computing Compliance Criteria Catalogue, connu sous le nom de C5. L'ANSSI française gère SecNumCloud, largement considéré comme le plus strict des trois car il exige qu'un fournisseur soit à la fois domicilié juridiquement et indépendant sur le plan opérationnel de toute influence hors UE. Aucun de ces dispositifs ne peut être auto-attribué par un éditeur de logiciels en livrant un drapeau de configuration — chacun nécessite un auditeur nommé, un périmètre d'évaluation et un certificat avec une date d'expiration.

Pourquoi c'est important pour les acheteurs

Les équipes achats qui évaluent des exigences de souveraineté des données assimilent parfois les paramètres par défaut d'un fournisseur à une garantie certifiée. Ce n'est pas la même affirmation. Un acheteur qui a besoin de SecNumCloud, C5 ou ACN pour un appel d'offres spécifique doit demander au fournisseur le certificat et son périmètre, pas une liste de réglages. La position d'Altovar est de maintenir ces faits distincts : le mode souverain décrit ce que fait le produit ; la certification décrit ce qu'un auditeur indépendant a vérifié.

Sources : SecNumCloud (Wikipedia), OVHcloud sur les normes de sécurité européennes.